Zero Trust für KMU Schweiz: Einführung ohne Grossprojekt

Ein kompromittiertes Benutzerkonto kann genügen, damit Angreifer auf weitere Systeme zugreifen. Zero Trust für KMU in der Schweiz setzt genau hier an: Jeder Zugriff wird geprüft, unabhängig davon, ob er aus dem Büro, dem Homeoffice oder dem Internet kommt. Die Einführung muss kein mehrjähriges Grossprojekt sein.

Was bedeutet Zero Trust für KMU in der Schweiz?

Zero Trust ist ein Sicherheitsmodell, bei dem kein Benutzer, Gerät oder Dienst standardmässig als vertrauenswürdig gilt. Jeder Zugriff auf eine Anwendung oder Ressource wird anhand von Identität, Berechtigung, Gerätezustand, Standort und Risiko bewertet.

Das ersetzt nicht jede bestehende Sicherheitslösung. Firewalls, Endpoint Detection and Response, Backups, Schwachstellenmanagement und Awareness bleiben wichtig. Zero Trust verbindet diese Massnahmen jedoch stärker mit der Frage: Wer darf unter welchen Bedingungen auf welche Daten zugreifen?

Für ein Schweizer KMU kann das zum Beispiel bedeuten:

• Ein externer Zugriff auf das ERP-System erfordert MFA.
• Mitarbeitende sehen nur die Kundendaten, die sie für ihre Aufgabe benötigen.
• Ein unbekanntes oder veraltetes Gerät erhält keinen Zugriff auf interne Anwendungen.
• Administrative Konten werden getrennt von normalen Benutzerkonten verwendet.
• Zugriffe auf besonders schützenswerte Daten werden protokolliert und regelmässig überprüft.

Warum ist eine Zero Trust Einführung für KMU sinnvoll?

Eine Zero Trust Einführung reduziert das Risiko, dass ein gestohlenes Konto oder ein kompromittiertes Gerät unbemerkt für weitere Angriffe verwendet wird. Besonders relevant ist das bei Cloud-Diensten, Remote Work, externen IT-Partnern und gemischten Umgebungen.

Das Modell unterstützt mehrere anerkannte Sicherheitsziele:

1. Identitäten absichern: Starke Authentisierung erschwert die Nutzung gestohlener Passwörter.
2. Zugriffe begrenzen: Least Privilege bedeutet, dass Benutzer und Dienste nur die minimal notwendigen Rechte erhalten.
3. Seitliche Bewegungen erschweren: Segmentierung und getrennte Administrationswege begrenzen die Ausbreitung eines Angriffs.
4. Aktivitäten erkennen: Protokollierung und zentrale Auswertung helfen, verdächtige Zugriffe schneller zu erkennen.
5. Zugriffe regelmässig entfernen: Nicht mehr benötigte Berechtigungen werden widerrufen.

Das Schweizer Nationale Zentrum für Cybersicherheit, NCSC, empfiehlt in seinen Sicherheitsinformationen unter anderem starke Authentisierung, aktuelle Systeme, Backups und ein risikobasiertes Vorgehen. Zero Trust ergänzt diese Grundlagen, ersetzt sie aber nicht.

Auch das Datenschutzrecht ist relevant. Das revDSG verlangt angemessene technische und organisatorische Massnahmen zum Schutz personenbezogener Daten. Der EDÖB bewertet dabei nicht ein bestimmtes Zero-Trust-Produkt, sondern die Angemessenheit der Sicherheitsmassnahmen. Für Unternehmen im FINMA-Umfeld können zusätzlich regulatorische Vorgaben und der IKT-Minimalstandard eine Rolle spielen.

Wie starten Schweizer KMU mit Zero Trust?

Schweizer KMU starten am wirkungsvollsten mit wenigen kritischen Zugriffen und nicht mit einer vollständigen technischen Neuplanung. Der erste Schritt ist eine Bestandsaufnahme, danach folgen konkrete Kontrollen mit messbarem Nutzen.

1. Kritische Ressourcen festlegen

Erstellen Sie eine kurze Liste der Systeme, deren Ausfall oder Missbrauch den Geschäftsbetrieb oder den Datenschutz besonders beeinträchtigen würde. Dazu zählen etwa:

• Identitätsplattform und E-Mail
• ERP, CRM oder Lohnbuchhaltung
• Remote-Access- und VPN-Dienste
• Dateiablagen mit Kundendaten
• Administrationsschnittstellen
• Backup- und Security-Systeme

Bewerten Sie anschliessend, welche Benutzergruppen und Dienstkonten auf diese Ressourcen zugreifen. Berücksichtigen Sie auch externe Dienstleister.

2. MFA für privilegierte und externe Zugriffe erzwingen

Multifaktor-Authentisierung, MFA, verlangt mindestens zwei unabhängige Nachweise, etwa Passwort und Sicherheitsschlüssel oder Authenticator-App. Priorisieren Sie zunächst Administrationskonten, Cloud-Konsolen, VPN, E-Mail und Zugriffe von ausserhalb des Unternehmensnetzes.

SMS-Codes bieten je nach Bedrohungsmodell weniger Schutz als phishing-resistente Verfahren wie FIDO2-Sicherheitsschlüssel. Für ein KMU ist dennoch entscheidend, MFA konsequent einzuführen und Notfallkonten kontrolliert zu verwalten.

3. Least Privilege umsetzen

Prüfen Sie, ob Benutzer lokale Administratorrechte besitzen, ob gemeinsame Konten existieren und ob ehemalige Mitarbeitende noch Zugriff haben. Entfernen Sie überflüssige Rechte schrittweise.

Legen Sie für Administratoren separate Konten an. Ein Konto für die tägliche Arbeit sollte nicht gleichzeitig für Systemadministration verwendet werden. Bei Dienstkonten sind lange, eindeutige Geheimnisse, begrenzte Berechtigungen und eine regelmässige Überprüfung wichtig.

4. Geräte und Anwendungen bewerten

Definieren Sie Mindestanforderungen für Geräte, die auf geschützte Ressourcen zugreifen. Dazu können aktive Verschlüsselung, aktuelle Sicherheitsupdates, Endpoint-Schutz und eine zentrale Verwaltung gehören.

Prüfen Sie zudem, ob Anwendungen moderne Authentisierung unterstützen, Protokolle liefern und Rollen sauber abbilden. Bei SaaS-Diensten sind Datenstandort, Unterauftragsbearbeiter, Exportmöglichkeiten und Aufbewahrung wichtige Kriterien. Ein Datenstandort Schweiz kann für vertragliche, regulatorische oder geschäftliche Anforderungen relevant sein, ist aber kein Ersatz für Zugriffskontrollen.

5. Protokollierung und Reaktion festlegen

Zero Trust braucht Sichtbarkeit. Legen Sie fest, welche Anmeldeversuche, Rollenänderungen, privilegierten Aktionen und Zugriffe auf sensible Daten protokolliert werden. Prüfen Sie, wer Warnungen bearbeitet und welche Schritte bei einem verdächtigen Ereignis folgen.

Ein MDR-Dienst, Managed Detection and Response, kann für KMU eine ausgelagerte Angriffserkennung und Reaktion rund um die Uhr bereitstellen. Entscheidend sind klare Zuständigkeiten, definierte Eskalationswege und ein Zugriff des Dienstleisters nur im notwendigen Umfang.

Welche Zero-Trust-Massnahmen passen zu welchem Budget?

Die passende Umsetzung hängt von vorhandenen Lizenzen, der Komplexität der Umgebung und dem Schutzbedarf ab. Die folgenden Werte sind grobe Grössenordnungen für externe Unterstützung und keine verbindlichen Offerten.

Welche Fehler sollten KMU bei Zero Trust vermeiden?

Die häufigsten Fehler entstehen durch eine rein technische oder zu umfassende Planung. Vermeiden Sie insbesondere:

• Alles gleichzeitig umstellen: Beginnen Sie mit Identitäten und den kritischsten Zugriffen.
• Nur das Netzwerk segmentieren: Ein internes Netzwerk ist kein ausreichender Vertrauensnachweis.
• Berechtigungen einmalig prüfen: Rollen und Zugriffe verändern sich durch Projekte, Stellenwechsel und neue SaaS-Dienste.
• Notfallzugänge vergessen: Break-Glass-Konten müssen geschützt, überwacht und regelmässig getestet werden.
• Benutzer überfordern: Erklären Sie die Änderungen und bieten Sie sichere, praktikable Anmeldeverfahren an.
• Protokolle sammeln, aber nicht auswerten: Ohne Verantwortlichkeit und Reaktionsplan entsteht nur zusätzliche Datenmenge.
• Compliance mit Sicherheit verwechseln: Eine Zertifizierung nach ISO 27001 oder die Orientierung am NIST Cybersecurity Framework unterstützt die Struktur, beseitigt aber nicht automatisch jedes Risiko.

Wie Sie am besten starten

Eine pragmatische Zero Trust Einführung beginnt mit einem kurzen, risikobasierten Projektauftrag und klaren Verantwortlichkeiten.

1. Schutzbedarf bestimmen: Welche Daten und Systeme wären bei einem Konto- oder Gerätekompromiss besonders kritisch?
2. Zugriffe erfassen: Dokumentieren Sie Benutzer, Dienstkonten, externe Partner und administrative Wege.
3. MFA priorisieren: Sichern Sie zuerst privilegierte, externe und besonders attraktive Konten.
4. Least Privilege prüfen: Entfernen Sie unnötige Rechte und trennen Sie Standard- und Administrationskonten.
5. Gerätestandards definieren: Legen Sie Patchstand, Verschlüsselung, Endpoint-Schutz und Verwaltung fest.
6. Protokollierung testen: Prüfen Sie, ob verdächtige Anmeldungen erkannt und bearbeitet werden.
7. Ergebnisse messen: Halten Sie fest, wie viele kritische Konten geschützt, Rechte bereinigt und Ausnahmen dokumentiert sind.

Beziehen Sie bei Bedarf Ihre bestehende IT-Sicherheitsberatung, Ihren Managed-Service-Provider oder einen spezialisierten Cybersecurity-Anbieter ein. Im Verzeichnis von Cyberprovider können Sie geprüfte Schweizer Anbieter vergleichen und passende Unterstützung für Assessment, Umsetzung oder Betrieb finden.

Häufige Fragen

Ist Zero Trust auch für kleine Unternehmen geeignet?

Ja. Kleine Unternehmen können mit MFA, getrennten Administrationskonten, Least Privilege und sicheren Gerätestandards beginnen. Entscheidend ist die Priorisierung, nicht eine vollständige Plattform.

Ersetzt Zero Trust eine Firewall oder ein VPN?

Nein. Zero Trust ergänzt Netzwerk- und Zugriffsschutz. Ein VPN kann weiterhin sinnvoll sein, sollte aber nicht als alleiniger Vertrauensnachweis gelten.

Ist Zero Trust in der Schweiz gesetzlich vorgeschrieben?

Nein, Zero Trust ist in der Schweiz grundsätzlich keine eigenständige gesetzliche Pflicht. Das revDSG verlangt angemessene Sicherheitsmassnahmen. Für bestimmte Branchen, insbesondere im FINMA-Umfeld, können zusätzliche Vorgaben gelten.

Wie lange dauert eine Zero Trust Einführung?

Ein abgegrenzter Einstieg mit MFA und Berechtigungsprüfung kann typischerweise innerhalb weniger Wochen geplant und umgesetzt werden. Eine breitere Einführung mit Segmentierung, Protokollierung und Prozessanpassungen dauert länger.

Welche Frameworks helfen bei der Planung?

Der NIST Cybersecurity Framework, ISO 27001 und der IKT-Minimalstandard bieten Strukturen für Risiken, Kontrollen und Verantwortlichkeiten. MITRE ATT&CK hilft, Angreifertechniken zu beurteilen. Für technische Sicherheitstests können je nach Zielsetzung OWASP, PTES oder OSSTMM herangezogen werden.